Wann sollte ich meinen primären OpenPGP-Schlüssel sichern?

351
Louis S.

Wann sollte ich meinen primären OpenPGP-Schlüssel sichern?

Ich habe vor kurzem einen OpenPGP-Schlüssel mit folgendem Setup generiert (Ausgabe von gpg2 --list-keys):

pub rsa4096/KEYIDSC 2017-10-19 [SC] uid [ultimate] My Name <my@mail.com> sub rsa4096/KEYIDE 2017-10-19 [E] sub rsa4096/KEYIDS 2017-10-19 [S] 

Und hier ist die Ausgabe von gpg2 --list-secret-keys:

sec# rsa4096/KEYIDSC 2017-10-19 [SC] uid [ultimate] My Name <my@mail.com> ssb rsa4096/KEYIDE 2017-10-19 [E] ssb rsa4096/KEYIDS 2017-10-19 [S] 

Um es zusammenzufassen, speichere ich eine Sicherung meines Primärschlüssels offline ( sec#) und verwende die Unterschlüssel zum Signieren und Verschlüsseln.

Angenommen, ich möchte eine Benutzer-ID für (mit adduid) hinzufügen. Ich importiere meinen privaten Sicherungsschlüssel und bearbeite ihn. Meine Fragen sind jetzt:

  1. Soll ich mit dem Exportbefehl eine neue Sicherung meines privaten Schlüssels erstellen?
  2. Muss ich auch die Unterschlüssel bearbeiten? Oder haben sie automatisch die Hinzufügung der neuen UID berücksichtigt?
  3. Angenommen, die Unterschlüssel werden während des Prozesses geändert. Sollte ich sie dann auf meine anderen Computer exportieren oder werden die alten weiterhin die Aufgabe erfüllen?
  4. Ich habe meinen Schlüssel derzeit nicht auf einen Keyserver hochgeladen. Sollte ich das tun? Würde es automatisch die Mühe machen, die Unterschlüssel erneut zu exportieren, wie in der vorherigen Frage erwähnt (falls solche Probleme bestehen)?
  5. Welche anderen Befehle / Aktionen adduiderfordern außerdem eine erneute Sicherung meiner Schlüssel?

Bitte zögern Sie nicht, nach den genauen Angaben zu fragen. Ich versuche mein Bestes, um sie zu beantworten. Berücksichtigen Sie jedoch, dass ich bei OpenPGP noch relativ neu bin.

0

1 Antwort auf die Frage

1
Jens Erat

Soll ich mit dem Exportbefehl eine neue Sicherung meines privaten Schlüssels erstellen?

Wenn Sie Ihren öffentlichen Schlüssel in das Schlüsselservernetzwerk hochladen, reicht es aus, alle privaten Schlüssel (einschließlich aller zu wiederherstellenden Unterschlüssel) zu sichern. Alle anderen Schlüssel können einfach von den Schlüsselservern abgerufen werden. Jeder (auch sonst minimale) Export Ihrer privaten Schlüssel beinhaltet immer die entsprechenden öffentlichen Schlüssel.

Wenn Sie es nicht regelmäßig hochladen, müssen Sie zwischen verschiedenen Dingen unterscheiden, die Sie verlieren könnten:

  • "verlorene" Benutzer-IDs sind nicht wirklich ein Problem, Sie können nur neue generieren (sie hätten einen anderen Zeitstempel und eine neuere Signatur, dies ist jedoch in der Praxis kein Problem).
  • Neue öffentliche Einstellungen müssen natürlich erneut eingerichtet werden (natürlich können Sie andere dazu verwenden, welche Chiffren, Kompressionsalgorithmen usw. verwendet werden sollen).
  • eingehende Zertifizierungen, die in Ihrem Schlüsselbund gespeichert sind, werden nicht von Ihnen selbst ausgestellt. Sie müssen sie also erneut abholen (wenn Sie sie jedoch nicht teilen, sind sie sowieso nicht von Nutzen.)
  • Wenn Sie neue Unterschlüssel erstellen, sind diese offensichtlich noch nicht in Ihrem Backup / Export enthalten und können nicht neu erstellt werden. Erstellen Sie daher ein Backup
  • Widerrufszertifikate können für die Sicherung sinnvoll sein, aber diese wiederum sind nicht von Nutzen, wenn Sie sie sowieso nicht teilen

Muss ich auch die Unterschlüssel bearbeiten? Oder haben sie automatisch die Hinzufügung der neuen UID berücksichtigt?

Nein, es gibt keine direkte Verbindung zwischen Unterschlüsseln und Benutzer-IDs. Beide sind nur an den Primärschlüssel gekoppelt.

Welche anderen Befehle / Aktionen außer adduid erfordern eine erneute Sicherung meiner Schlüssel?

Backup ist nicht wirklich eine OpenPGP-spezifische Angelegenheit, da sich Ihre Schlüsselbunde nicht von anderen Elementen auf Ihrem Computer unterscheiden.

Pragmatische Sichtweise: Sie ändern ständig Dinge auf Ihrem Computer und wenn Sie sich um Ihre Dateien kümmern, benötigen Sie sowieso ein aktuelles, automatisiertes und regelmäßig geplantes Backup. Dies beinhaltet einfach jede Änderung an Ihrem GnuPG-Schlüsselbund (unabhängig davon, ob es sich um eine wichtige Änderung handelt oder nicht), auch wenn Sie sich überlegen, ob Sie kleine Dateien sichern möchten oder nicht - der Aufwand lohnt sich nicht - Speicherplatz ist billig, im Zweifelsfall alles.

Weniger generische Antwort: Sichern Sie alles, was Sie nicht verlieren möchten. Wenn es sich nur um Ihre Schlüssel handelt, generieren Sie nach jeder Änderung ein neues Backup. Wenn Sie sich um etwas anderes kümmern, führen Sie nach dem Speichern eine Sicherung durch.

Vielen Dank für Ihre ausführliche Antwort. Sie haben mir klar gemacht, dass einige der Backups falsch waren. Louis S. vor 7 Jahren 0